Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сервиса MaxPosty, доступного по адресу https://maxposty.ru. Оператором персональных данных является Маколов Артем Владимирович, статус — Физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход».

Политика применяется к сайту, личному кабинету, входу через МАКС или Яндекс ID, подключению каналов МАКС, ИИ-оформлению текста, подсказкам для изображения, исследованию тем, созданию изображений, подготовке описания канала и бренд-кита, подготовке и планированию публикаций, подключению рекламного кабинета Яндекс Директа, подготовке и управлению рекламными кампаниями, выбору тарифа и оплате подписки.

2. Какие данные обрабатываются

Данные учётной записи

• идентификатор Яндекс ID, логин, email и отображаемое имя, доступные в выбранном OAuth-профиле;
• идентификатор пользователя МАКС, имя, фамилия, имя пользователя, отображаемое имя и ссылка на изображение профиля, если МАКС передал эти сведения;
• номер телефона кратковременно проверяется только если пользователь сам передал контакт официальному боту для входа, но не записывается в профиль MaxPosty и не сохраняется в базе данных после проверки; само сообщение с контактом может оставаться в МАКС по правилам и срокам хранения платформы МАКС;
• хэш серверной сессии, время входа и окончания сессии;
• состояние и срок действия одноразовой попытки входа через МАКС.

Данные тарифа и оплаты

• выбранный тариф, цена и границы оплаченного периода, состояние автопродления, скидки и отмены;
• идентификаторы платежа и сохранённого способа оплаты ЮKassa, статус и время операции;
• email пользователя в объёме, необходимом для платежа, уведомления и кассового чека, если он требуется.

Полный номер карты, срок её действия и код безопасности обрабатывает ЮKassa на своей защищённой странице. MaxPosty не получает и не хранит эти реквизиты.

Данные каналов и публикаций

• ID, название, публичная ссылка, изображение и доступное число участников подключённого канала;
• сведения о правах служебного бота и событиях его добавления или удаления;
• черновики, Markdown- и HTML-тексты, изображения, промпты, найденные источники, описание канала, настройки бренд-кита и расписание;
• идентификаторы и состояние опубликованных в МАКС сообщений.

Данные Яндекс Директа

• отдельный OAuth-токен доступа к Яндекс Директу, который хранится на сервере в зашифрованном виде и не выводится в браузер;
• ID и логин рекламного аккаунта, ФИО текущего представителя из Яндекс Директа, валюта, фиксированный часовой пояс создаваемых кампаний и состояние подключения;
• название и ID кампании, бриф, ссылка, заголовки и тексты объявлений, ключевые и минус-фразы, регионы, бюджет, предел цены клика, период, состояние модерации и запуска;
• проверенные снимки состава кампании, их хеши и редакции, необходимые для обнаружения внешних изменений и предотвращения повторной команды;
• доказательство отдельного согласия на автозапуск: пользователь, редакция согласия, точный рекламный аккаунт, кампания, бюджет, период, дата, отзыв и причина недействительности;
• журнал команд и технических сверок, необходимых для предотвращения повторного запуска и разбора спорных операций.

Запрос к Wordstat выполняется только по явной команде пользователя: в Яндекс передаются введённая фраза, регионы кампании и требуемое число результатов. Полученные подсказки и статистический отчёт Яндекс Директа возвращаются в текущий интерфейс и отдельно в базе MaxPosty не сохраняются; выбранные фразы сохраняются только после добавления в кампанию.

Технические данные

Для защиты входа и сервиса могут обрабатываться IP-адрес, User-Agent, время и параметры запросов, сведения об ошибках и событиях безопасности. Состав инфраструктурных журналов зависит от фактически настроенного хостинга и должен быть ограничен необходимым минимумом.

Для оценки работоспособности и использования основных функций сервер хранит отметку о факте активности аккаунта за календарный день по UTC. В систему метрик передаются только суммарные значения активной аудитории и этапов работы с сервисом — без идентификаторов пользователей, текстов публикаций, поисковых запросов, IP-адресов и User-Agent.

Сервис не предназначен для обработки специальных категорий и биометрических персональных данных. Не добавляйте такие сведения, данные третьих лиц, пароли, коммерческую тайну и иную конфиденциальную информацию в тексты и запросы к ИИ без законного основания.

3. Цели и правовые основания

• создание и защита аккаунта, вход через МАКС или Яндекс ID и поддержание сессии;
• подключение выбранного канала и проверка прав служебного бота;
• хранение и редактирование черновиков, изображений, видео и расписания;
• выполнение поручений пользователя на публикацию, изменение или удаление поста в МАКС;
• выполнение только запущенных пользователем ИИ-операций: оформление текста, предложение промпта для изображения, создание изображения, исследование темы, подготовка вариантов описания канала и черновика бренд-кита;
• подключение выбранного рекламного кабинета, подготовка рекламных рекомендаций и выполнение только явно подтверждённых команд на создание или запуск кампании в Яндекс Директе;
• оформление и исполнение платной подписки, подтверждение платежа, автопродление, отмена и поддержка расчётов;
• агрегированная оценка использования функций и надёжности сервиса;
• поддержка, диагностика, предотвращение злоупотреблений и исполнение требований закона.

Основаниями обработки являются заключение и исполнение Пользовательского соглашения, отдельное согласие пользователя, законные обязанности оператора и иные основания, предусмотренные законодательством Российской Федерации. Если обработка основана на согласии, пользователь может его отозвать.

4. Порядок и сроки обработки

Данные обрабатываются преимущественно автоматически: собираются, записываются, систематизируются, хранятся, уточняются, извлекаются, используются, передаются в строго необходимом объёме, блокируются, удаляются и уничтожаются.

Основная база данных заявлена к размещению: Российская Федерация, сервер на территории Российской Федерации. Для персональных данных граждан Российской Федерации первичная запись и хранение должны выполняться в базе данных на территории России.

5. Поставщики и передача данных

Для работы отдельных функций данные могут передаваться следующим категориям получателей:

• Яндекс ID — для входа и получения разрешённых данных профиля;
• Яндекс Директ — только после отдельного OAuth-подключения рекламного кабинета, для чтения его состояния и выполнения явно запрошенных операций с кампаниями;
• ООО «ЯНДЕКС» (Yandex Search API / Wordstat) — только когда пользователь сам запускает подбор ключевых фраз; передаются введённая фраза, регионы кампании и число запрошенных результатов;
• МАКС — для подтверждения входа по добровольно переданному контакту, проверки канала и выполнения выбранных операций с публикациями;
• ЮKassa (ООО НКО «ЮМани») — для проведения первой и повторных оплат, сохранения способа оплаты, подтверждения статуса операции и выполнения требований к расчётам;
• OpenAI — только когда пользователь сам запускает оформление текста, предложение промпта для изображения, создание изображения, исследование темы, подготовку вариантов описания канала или черновика бренд-кита;
• ООО «ЯНДЕКС» (Яндекс Метрика) — обезличенные данные о посещениях и записи вебвизора при открытии сайта; Яндекс выступает самостоятельным оператором по своей политике;
• поставщикам хостинга, приватного объектного хранилища, резервного копирования, почты и безопасности — в необходимом объёме.

Состав передаваемых OpenAI материалов зависит от выбранной пользователем функции: текст черновика — для оформления и предложения промпта; промпт и параметры — для создания изображения; тема, аудитория, тон, ракурс, призыв, примеры и визуальный стиль — для исследования; название, текущее описание, введённый контекст и до восьми последних опубликованных постов — для вариантов описания канала; тексты последних постов и до трёх их изображений — для черновика бренд-кита; параметры рекламной кампании, бриф, регионы, ссылка и до десяти последних опубликованных постов связанного канала — для запрошенной пользователем рекламной подсказки. Фоновая передача этих материалов без запуска соответствующей функции пользователем не выполняется. Возможная трансграничная передача допускается только после выполнения оператором требований российского законодательства, определения получателя, страны, договорного основания и необходимых уведомлений. Если эти условия не выполнены, соответствующие функции не должны включаться в production.

Оператор не продаёт персональные данные и не использует их для собственных рекламных рассылок без отдельного предварительного согласия. Передача параметров кампании в Яндекс Директ выполняется только после подключения кабинета и соответствующей команды пользователя.

6. Файлы cookie и защита данных

Сервис использует необходимые cookie для безопасного входа и поддержания авторизованной сессии. Для аналитики при открытии сайта подключается Яндекс Метрика, включая запись обезличенных сессий вебвизором; данные Метрики обрабатывает ООО «ЯНДЕКС» как самостоятельный оператор по своейполитике конфиденциальности. Рекламные cookie не используются. Перечень cookie Метрики и способы отказа (настройки браузера, блокировка cookie, отключение JavaScript, инструменты Яндекса) приведены в уведомлении о cookie.

Одноразовые данные попытки входа через МАКС не записываются в localStorage илиsessionStorage: браузер передаёт только защищённую HttpOnly-cookie, недоступную JavaScript-коду страницы.

Оператор обязан применять соразмерные рискам организационные и технические меры защиты. Данные для подключения не выводятся в браузер, OAuth-токены хранятся только на сервере в зашифрованном виде, а время сессий ограничено. Фактические правила разграничения доступа, резервного копирования, журналирования и реагирования на инциденты определяются инфраструктурой оператора и должны быть утверждены до публичного запуска. Ни один способ передачи и хранения не даёт абсолютной гарантии, поэтому пользователь также обязан защищать свой аккаунт и устройства.

7. Права пользователя

Пользователь вправе:

• получить сведения об обработке своих персональных данных;
• потребовать уточнения, блокирования или удаления неполных, устаревших или незаконно полученных данных;
• отозвать согласие и удалить аккаунт, если сохранение данных не требуется по закону;
• отключить Яндекс Директ и отозвать доступ MaxPosty к рекламному кабинету;
• обжаловать действия оператора в Роскомнадзоре или суде.

Отзыв согласия не влияет на законность обработки, выполненной до его получения. Если без данных невозможно предоставить функцию, она или аккаунт могут стать недоступны. Уже опубликованные в МАКС материалы не удаляются автоматически без отдельной команды пользователя. Отключение Яндекс Директа также не останавливает уже работающую рекламу: её необходимо остановить и проверить непосредственно в рекламном кабинете.

8. Контакты и изменения Политики

Запрос о доступе, исправлении, удалении данных или отзыве согласия можно направить по адресу legal@maxposty.ru. Для идентификации запроса оператор вправе запросить разумное подтверждение личности.

Актуальная редакция всегда размещается по адресу https://maxposty.ru/privacy/. Существенные изменения публикуются до начала их применения, когда это требуется законом.